Datenschutzerklärung

Diese Datenschutzerklärung beschreibt, welche personenbezogenen Daten wir bei der Nutzung von Make a Beat verarbeiten, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange. Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Jonas Niemann c/o IP-Management #9655 Ludwig-Erhard-Straße 18 20459 Hamburg Deutschland E-Mail: contact@make-a-beat.com

Für datenschutzrechtliche Anfragen jeder Art genügt eine E-Mail an die oben genannte Adresse. Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen hierfür (§ 38 BDSG) nicht vorliegen; Ihre Anfragen bearbeitet der Verantwortliche selbst.

Ausnahme Schulunterricht: Wird Make a Beat von einer Schule im Unterricht eingesetzt, ist für die Daten der Schülerinnen und Schüler in der Regel die Schule verantwortlich und wir handeln als Auftragsverarbeiter. Details in Abschnitt 11.

Make a Beat läuft vollständig auf von uns selbst betriebenen Servern der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland. Die Server stehen ausschließlich in Deutschland. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Auf dieser Infrastruktur laufen alle Kernbestandteile des Dienstes: die Website, unsere Datenbank (PocketBase), der Audio- und KI-Dienst, sowie unsere selbst gehostete Workflow-Automatisierung (n8n) für Formular-Benachrichtigungen. Es gibt keine externe Datenbank und keinen externen Analytics-Server für Ihre Inhalte.

Rechtsgrundlage für den Betrieb der Infrastruktur ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, stabilen Betrieb).

Wir erstellen regelmäßig verschlüsselte Sicherungskopien der Datenbank, um Datenverlust zu vermeiden. Diese Backups können gelöschte Daten für einen Übergangszeitraum von bis zu 30 Tagen noch enthalten; danach werden sie überschrieben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Datensicherheit).

Bei jedem Aufruf unserer Seiten protokolliert der vorgeschaltete Webserver (Reverse Proxy) automatisch technische Zugriffsdaten: die IP-Adresse Ihres Endgeräts, Datum und Uhrzeit der Anfrage, die angeforderte Adresse und Datenmenge, HTTP-Statuscode, Referrer-URL sowie Browsertyp und Betriebssystem aus der User-Agent-Zeichenfolge.

Diese Daten sind technisch notwendig, um die Seite auszuliefern, und dienen darüber hinaus der Fehlersuche sowie der Abwehr von Angriffen und Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit und Funktionsfähigkeit). Eine Zusammenführung dieser Logs mit Ihrem Nutzerkonto findet nicht statt.

Die Access-Logs enthalten die vollständige IP-Adresse. Sie werden automatisch rotiert und spätestens nach 14 Tagen gelöscht; eine längere Speicherung erfolgt nur, wenn ein konkreter Sicherheitsvorfall aufgeklärt werden muss.

Für die meisten Funktionen benötigen Sie ein Konto. Es gibt zwei Wege:

A. Registrierung mit E-Mail-Adresse und Passwort — Verarbeitet werden Ihre E-Mail-Adresse, ein von Ihnen gewählter Benutzername und Ihr Passwort. Passwörter speichern wir ausschließlich als kryptografischen Hash, niemals im Klartext. Zur Bestätigung Ihrer E-Mail-Adresse senden wir Ihnen eine Verifizierungs-E-Mail (siehe Abschnitt 9). Bestätigen Sie den Link, melden wir Sie direkt an, ohne dass Ihr Passwort erneut übertragen wird.

B. Anmeldung über Google (OAuth) — Nutzen Sie „Mit Google anmelden", authentifizieren Sie sich bei der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Von Google erhalten wir Ihre E-Mail-Adresse, Ihren Namen und Ihr Profilbild. Google ist für den Anmeldevorgang selbst eigenständig verantwortlich; es gelten die Datenschutzhinweise von Google (https://policies.google.com/privacy). Für diesen Anmeldeweg wird ein Google-Skript geladen, sobald Sie den Login-Dialog öffnen — nicht bereits beim Seitenaufruf.

Rechtsgrundlage für beide Wege ist Art. 6 Abs. 1 lit. b DSGVO (Begründung und Durchführung des Nutzungsverhältnisses).

Gerätetyp bei der Registrierung — Bei der Registrierung leiten wir aus der User-Agent-Zeichenfolge ausschließlich den Gerätetyp ab („desktop", „mobile" oder „tablet") und speichern diesen einen Wert am Konto, um zu verstehen, mit welchen Geräten unsere Nutzer starten. Weder die vollständige User-Agent-Zeichenfolge noch IP-Adresse, Standort, Browser- oder Betriebssystemversion werden dabei gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Angebots).

Unsere Datenbank läuft auf unseren eigenen Servern in Deutschland. Am Konto gespeichert werden:

Stammdaten: E-Mail-Adresse, Benutzername, optional ein von Ihnen hochgeladenes Profilbild, Passwort-Hash, Verifizierungsstatus, Erstellungs- und Änderungszeitpunkt, Gerätetyp bei Registrierung, Spracheinstellung.

Inhalte, die Sie erzeugen: Ihre Beats samt Projektdaten (Sequenzen, Instrumente, BPM, Titel), Ihre KI-generierten Sounds einschließlich der von Ihnen eingegebenen Textbeschreibungen („Prompts"), Ihre Schlagwörter dazu und die erzeugten Audiodateien, von Ihnen hochgeladene eigene Samples sowie „Likes", die Sie vergeben.

Nutzungs- und Vertragsdaten: Ihr Guthaben an KI-Generierungen, Zeitpunkt einer laufenden Guthaben-Aufladung, Anzahl genutzter Beat-Downloads, Ihr Tarif und Abo-Status samt Ablaufdatum, ein Merker für einen begonnenen Checkout sowie Ihre Stripe-Kundenkennung und die Kennung des letzten verarbeiteten Zahlungsereignisses (zur Vermeidung doppelter Gutschriften).

Freiwillige Angaben: Wenn Sie die kurze Einstiegsfrage beantworten, wofür Sie Make a Beat nutzen möchten, speichern wir diese Auswahl am Konto. Die Angabe ist freiwillig und kann übersprungen werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Spielerische Elemente (z. B. gesammelte Münzen und ausgewählte Avatar-Optionen) werden ebenfalls am Konto gespeichert.

Rechtsgrundlage für Stammdaten, Inhalte sowie Nutzungs- und Vertragsdaten ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags), für Guthaben- und Missbrauchsschutz zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

Ihre Lernfortschritte in den Übungsleveln und Tutorials sowie Einstellungen der Oberfläche werden ausschließlich lokal in Ihrem Browser gespeichert und nicht an uns übertragen (siehe Abschnitt 13).

Transparenzhinweis nach Art. 50 der KI-Verordnung (EU) 2024/1689: Make a Beat setzt Künstliche Intelligenz ein, um Audio zu erzeugen und zu verarbeiten. Von der KI erzeugte Klänge, Loops und Gesangsspuren sind künstlich generierte Inhalte.

Wenn Sie eine KI-Funktion nutzen, übertragen wir die dafür nötigen Eingaben an den jeweiligen Anbieter — in der Regel nur Ihre Textbeschreibung und technische Parameter wie Instrument oder Tempo, nicht Ihren Namen, Ihre E-Mail-Adresse oder Ihre IP-Adresse.

ElevenLabs, Inc., 169 Madison Ave, New York, NY 10016, USA (Erzeugung von Sounds, Loops und Vocals): übermittelt werden Ihre Text-Prompts und Parameter.

Replicate, Inc., 340 S Lemon Ave, Walnut, CA 91789, USA (Aufspalten von Musik in Spuren, „Stem Splitting", sowie Loop-Generierung): übermittelt wird die zu verarbeitende Audiodatei bzw. der Prompt. Die Verarbeitung erfolgt nach Angaben des Anbieters temporär zur Ausführung der Anfrage.

Für beide Anbieter gilt: Sie verarbeiten die Daten in unserem Auftrag zur Erbringung der von Ihnen angeforderten Funktion. Es gelten zusätzlich ihre eigenen Datenschutzhinweise (https://elevenlabs.io/privacy, https://replicate.com/privacy). Zu Übermittlungen in die USA siehe Abschnitt 19.

Ihre Prompts und die erzeugten Audiodateien speichern wir außerdem in Ihrem Konto, damit Sie sie später wiederverwenden können (siehe Abschnitt 5). Sie können einzelne generierte Sounds jederzeit in Ihrem Profil löschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Ausführung der von Ihnen ausgelösten Funktion).

Einige Funktionen arbeiten mit Audio, das Sie selbst aufnehmen oder hochladen: das Einsingen bzw. Summen einer Melodie („Voice to MIDI"), der Rap-Battle-Modus, der Tonhöhen- und Tonart-Finder sowie das Aufspalten eines Songs in Einzelspuren.

Der Zugriff auf Ihr Mikrofon erfolgt ausschließlich nach ausdrücklicher Freigabe durch Ihren Browser und nur, während Sie eine Aufnahme starten. Ihre Aufnahme wird zur Analyse an unseren eigenen Audio-Dienst auf unseren Servern in Deutschland übertragen. Dort wird sie in eine Notenfolge bzw. eine Bewertung umgerechnet; die hochgeladene Datei wird direkt nach der Verarbeitung vom Server gelöscht. Aufnahmen aus diesen Analysefunktionen werden nicht dauerhaft gespeichert, sofern Sie das Ergebnis nicht selbst als Sound oder Beat in Ihrem Konto sichern.

Wir setzen keine Stimmerkennung und keine biometrische Identifizierung ein, erstellen kein Stimmprofil und nutzen Ihre Aufnahmen nicht zum Training eigener Modelle.

Ausnahme Drittanbieter: Beim Aufspalten eines Songs in Einzelspuren wird die Audiodatei an Replicate, Inc. (USA) übermittelt, weil dort das eingesetzte Modell läuft (siehe Abschnitt 6). Laden Sie also eine eigene Gesangsaufnahme in diese Funktion, verlässt diese Aufnahme die EU. Nutzen Sie die Funktion nicht, wenn Sie das nicht möchten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der von Ihnen angeforderten Verarbeitung), hinsichtlich der Mikrofonnutzung zusätzlich Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie über die Berechtigungseinstellungen Ihres Browsers jederzeit widerrufen können.

Zahlungen werden ausschließlich über die Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland („Stripe") abgewickelt. Andere Zahlungsdienstleister setzen wir nicht ein.

Der Bezahlvorgang läuft auf einer von Stripe gehosteten Seite (Stripe Checkout), zu der Sie weitergeleitet werden. Auf unserer Domain wird kein Zahlungs-Skript geladen. Ihre vollständigen Kartendaten erhalten und speichern wir nicht.

Über Stripe verarbeitet werden: Name, E-Mail-Adresse, Zahlungsmittelangaben (Kartenmarke, letzte vier Stellen, Ablaufdatum), Rechnungsland, IP-Adresse, Währung, Betrag sowie Transaktions-Metadaten (unsere interne Nutzerkennung, Tarif, Sprache). An uns zurück gemeldet und in Ihrem Konto gespeichert werden nur Ihre Stripe-Kundenkennung, der Zahlungsstatus und die Kennung des verarbeiteten Ereignisses.

Stripe ist insoweit unser Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage des Stripe-Auftragsverarbeitungsvertrags (https://stripe.com/legal/dpa); für eigene Zwecke wie Betrugsprävention und die Erfüllung eigener aufsichtsrechtlicher Pflichten handelt Stripe zusätzlich als eigener Verantwortlicher. Datenschutzerklärung von Stripe: https://stripe.com/privacy.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO für die Rechnungsstellung und die gesetzliche Aufbewahrung.

Rechnungen erzeugen wir automatisch über Stripe. Rechnungs- und Buchungsdaten bewahren wir aufgrund handels- und steuerrechtlicher Pflichten (§ 147 AO, § 257 HGB) zehn Jahre auf; sie sind von einer Kontolöschung ausgenommen.

Cookies: Stripe setzt auf seiner eigenen Domain (checkout.stripe.com) die Cookies __stripe_mid, __stripe_sid und m zur Betrugsprävention. Diese sind für die Durchführung der Zahlung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und benötigen keine Einwilligung.

Werbung im Zusammenhang mit abgebrochenen Bezahlvorgängen versenden wir nicht: Brechen Sie den Checkout ab, setzen wir lediglich den internen Merker „Zahlung ausstehend" zurück. Eine „Warenkorb-Erinnerung" per E-Mail erhalten Sie von uns nicht.

Für den technischen Versand unserer E-Mails nutzen wir Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) als Auftragsverarbeiter. Mit Resend besteht ein Auftragsverarbeitungsvertrag; der Versand erfolgt über Infrastruktur in der Europäischen Union, ein Zugriff aus den USA ist jedoch nicht ausgeschlossen (siehe Abschnitt 19).

Übermittelt werden Ihre E-Mail-Adresse und der Inhalt der jeweiligen Nachricht. Nach Angaben von Resend werden die Versanddaten nur kurzzeitig — höchstens 30 Tage — zu Zustell- und Fehleranalysezwecken gespeichert und anschließend gelöscht (https://resend.com/legal/privacy-policy).

Wir versenden ausschließlich folgende Nachrichten: die Bestätigungs-E-Mail zur Verifizierung Ihrer Adresse, eine einmalige Begrüßungs-E-Mail nach erfolgreicher Aktivierung Ihres Kontos sowie E-Mails zum Zurücksetzen des Passworts, wenn Sie diese anfordern. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Wir versenden keinen Newsletter, keine Werbe-E-Mails und keine Erinnerungen an abgebrochene Bezahlvorgänge. Sollten wir künftig einen Newsletter anbieten, geschieht dies ausschließlich nach ausdrücklicher Anmeldung im Double-Opt-in-Verfahren und wird hier ergänzt.

Wenn Sie unser Kontakt- oder Feedback-Formular nutzen, verarbeiten wir die von Ihnen eingegebenen Angaben — je nach Formular Ihren Namen, Ihre E-Mail-Adresse, das gewählte Anliegen und den Inhalt Ihrer Nachricht — sowie technisch den Zeitpunkt der Absendung. Die Übertragung erfolgt TLS-verschlüsselt.

Die Formulardaten werden von unserer selbst betriebenen Workflow-Automatisierung (n8n) auf unseren Hetzner-Servern in Deutschland verarbeitet und als Benachrichtigung an unser Postfach geschickt; für den Versand dieser Benachrichtigung gilt Abschnitt 9.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung durch das freiwillige Absenden) sowie Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO, soweit Ihre Anfrage der Anbahnung oder Durchführung eines Vertrags oder der Bearbeitung eines Anliegens dient.

Schreiben Sie uns direkt eine E-Mail, verarbeiten wir die darin enthaltenen Angaben zur Beantwortung. Bitte beachten Sie, dass unverschlüsselte E-Mails auf dem Transportweg mitgelesen werden könnten.

Anfragen speichern wir, bis Ihr Anliegen abschließend geklärt ist, und löschen sie danach — soweit keine gesetzliche Aufbewahrungspflicht besteht, spätestens nach zwölf Monaten.

Make a Beat bietet einen Klassenraum-Bereich für Lehrkräfte. Wird er von einer Schule eingesetzt, verarbeiten wir die Daten der Schülerinnen und Schüler nach Weisung der Schule als Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortliche ist dann die Schule bzw. der Schulträger. Einen Vertrag zur Auftragsverarbeitung stellen wir Schulen auf Anfrage unter contact@make-a-beat.com zur Verfügung; er ist vor dem Einsatz im Unterricht abzuschließen.

Lehrkraft-Konto: Zusätzlich zu den Kontodaten aus Abschnitt 4 speichern wir die Kennzeichnung als Lehrkraft und — sofern angegeben — den Namen der Schule sowie eine dienstliche E-Mail-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Klassen: Klassenname, die zugehörige Lehrkraft und ein Beitrittscode, mit dem sich Schülerinnen und Schüler der Klasse zuordnen können. Die Lehrkraft kann den Beitritt jederzeit schließen.

Schülerzugänge: Bewusst datensparsam angelegt. Gespeichert werden ein Anzeigename (den die Lehrkraft festlegt, gerne auch ein Vorname oder Kürzel), eine Anmeldekennung, eine vierstellige PIN (ausschließlich als Hash), die Klassenzuordnung und die Reihenfolge in der Liste. Eine E-Mail-Adresse ist für Schülerzugänge nicht erforderlich und wird von uns nicht verlangt; ein optionales Feld dafür bleibt leer, wenn die Schule es nicht nutzt. Schülerzugänge melden sich nicht über Google an.

Aufgaben und Abgaben: Zu einer Klasse können Aufgaben mit Titel, Beschreibung und Frist angelegt werden. Reicht eine Schülerin oder ein Schüler eine Arbeit ein, speichern wir den Projektstand, eine daraus erzeugte Audiodatei sowie — nach Eingabe durch die Lehrkraft — Bewertung und Rückmeldung. Diese Angaben können nur die eigene Schülerin bzw. der eigene Schüler und die Lehrkraft der jeweiligen Klasse sehen; sie sind nicht öffentlich und erscheinen nicht im Leaderboard.

Für Schülerzugänge gilt: keine Werbung, keine Analyse-Cookies, keine Reichweitenmessung durch Google Analytics oder PostHog, keine Weitergabe an Werbenetzwerke, kein Profiling. KI-Funktionen können von der Lehrkraft pro Klasse freigegeben oder gesperrt werden.

Minderjährige: Ohne Einbindung einer Schule richtet sich unser Angebot an Personen ab 13 Jahren; bei Minderjährigen unter 16 Jahren setzt eine auf Einwilligung gestützte Verarbeitung die Zustimmung der Eltern bzw. Erziehungsberechtigten voraus (Art. 8 DSGVO). Im Schulkontext obliegt die Einholung der erforderlichen Erlaubnis der Schule.

Löschung: Die Lehrkraft kann Schülerzugänge, Klassen, Aufgaben und Abgaben jederzeit selbst löschen; mit der Klasse werden die zugehörigen Schülerzugänge, Aufgaben und Abgaben automatisch mitgelöscht. Auf Anforderung der Schule löschen wir alle Daten einer Klasse. Ohne solche Anforderung löschen wir Klassendaten spätestens zwölf Monate nach der letzten Aktivität der Klasse.

Ihre Beats sind zunächst privat. Erst wenn Sie einen Beat ausdrücklich veröffentlichen, werden Ihr Benutzername, Ihr Profilbild, der Titel und die Audiodatei öffentlich sichtbar und erscheinen im Leaderboard; andere angemeldete Nutzer können den Beat mit „Likes" bewerten. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Diese Einwilligung können Sie jederzeit widerrufen, indem Sie die Veröffentlichung im Profil zurücknehmen oder den Beat löschen. Bitte beachten Sie, dass bereits öffentlich abgerufene Inhalte von Dritten kopiert oder von Suchmaschinen zwischengespeichert worden sein können; darauf haben wir keinen Einfluss.

Erzeugen Sie einen Link zum Teilen eines Beats, ist dieser Beat über den Link abrufbar, solange Sie ihn nicht löschen.

Unbedingt erforderlich (keine Einwilligung nötig, § 25 Abs. 2 Nr. 2 TDDDG): Ihr Anmelde-Token, damit Sie eingeloggt bleiben, und das Cookie bzw. der lokale Eintrag mab-cookie-consent, in dem wir Ihre Cookie-Entscheidung ein Jahr lang festhalten — ohne diesen müssten wir Sie bei jedem Aufruf erneut fragen.

Funktionale Einträge in Ihrem Browser (Local Storage): Ihre Lernfortschritte in Übungsleveln und Tutorials, Oberflächen-Einstellungen (z. B. einfache oder erweiterte Ansicht), Hinweise, die Sie bereits gesehen haben, eine Sitzungskennung für den Rap-Battle-Modus und Zwischenschritte der Registrierung. Diese Daten verbleiben auf Ihrem Gerät, werden nicht an uns übertragen und können jederzeit über die Einstellungen Ihres Browsers gelöscht werden.

Analyse (nur mit Ihrer Einwilligung, § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO): siehe Abschnitt 14. Vor Ihrer Einwilligung werden keine Analyse-Dienste geladen und keine Analyse-Cookies gesetzt.

Ihre Cookie-Entscheidung können Sie jederzeit über den Link „Cookie-Einstellungen" am Seitenende ändern oder widerrufen. Der Widerruf gilt für die Zukunft; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Zusätzlich zählen wir Seitenaufrufe für eine rein statistische Auswertung. Dazu speichern wir in Ihrem Browser einen Tagesmerker (z. B. „analytics_unique_2026-08-08"), damit ein Gerät pro Tag nur einmal als Besucher gezählt wird, und erhöhen serverseitig zwei Zählerstände: Seitenaufrufe und Besucher pro Tag. Es entstehen dabei ausschließlich aggregierte Summen ohne IP-Adresse, ohne Kennung und ohne jeden Bezug zu Ihrem Konto; eine Identifizierung ist uns damit nicht möglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kenntnis der Auslastung unseres Angebots).

Beide folgenden Dienste werden erst geladen, nachdem Sie im Cookie-Banner ausdrücklich zugestimmt haben. Lehnen Sie ab oder entscheiden Sie sich nicht, findet keine Übertragung an diese Anbieter statt.

Google Analytics 4 (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland): Erhoben werden Interaktionen wie Seitenaufrufe, Verweildauer, ungefähre Herkunftsregion, Gerät und Browser sowie eine Kennung, die in den Cookies _ga (Laufzeit 2 Jahre) und _ga_EFRWFQ861C (Laufzeit 1 Jahr) gespeichert wird. Die IP-Adresse wird von Google gekürzt und nicht dauerhaft gespeichert. Wir haben Einwilligungssignale („Consent Mode") so gesetzt, dass Werbe- und Personalisierungsfunktionen dauerhaft deaktiviert sind; Google-Signale, Werbe-Zielgruppen und demografische Berichte nutzen wir nicht. Datenschutzhinweise: https://policies.google.com/privacy.

PostHog (PostHog, Inc., EU Cloud): Erfasst werden Seitenaufrufe, Klicks und selbst definierte Ereignisse, nach einer Anmeldung verknüpft mit Ihrer Nutzerkennung, Ihrer E-Mail-Adresse, Ihrem Benutzernamen und Ihrer Spracheinstellung, sowie Sitzungsaufzeichnungen („Session Replays"), die Ihre Interaktion mit der Oberfläche nachvollziehbar machen. Eingaben in Text- und Passwortfelder werden dabei automatisch unkenntlich gemacht. Wir nutzen ausschließlich die EU-Cloud von PostHog mit Speicherung in Frankfurt am Main, Deutschland.

Zweck ist in beiden Fällen, Fehler zu finden und zu verstehen, welche Funktionen genutzt werden, um das Angebot zu verbessern. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Ihre Einwilligung können Sie jederzeit über die Cookie-Einstellungen am Seitenende mit Wirkung für die Zukunft widerrufen; PostHog stellt die Erfassung daraufhin sofort ein und Google Analytics wird nicht mehr geladen.

Speicherdauer: Die von Google Analytics erhobenen Ereignisdaten werden nach 14 Monaten automatisch gelöscht; die bei PostHog erfassten Ereignisse und Sitzungsaufzeichnungen werden nach den dortigen Aufbewahrungsfristen (Aufzeichnungen in der Regel nach 30 Tagen) gelöscht.

Zu Übermittlungen in Drittländer siehe Abschnitt 19. Für Schülerzugänge im Klassenraum werden diese Dienste nicht eingesetzt (Abschnitt 11).

In unseren Lerninhalten (z. B. der Notenlese-Masterclass) sind Videos eingebettet, die bei YouTube liegen (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland).

Die Videos werden nicht automatisch geladen. Sie sehen zunächst nur eine Vorschau mit einer Schaltfläche; erst wenn Sie darauf klicken, wird die Verbindung zu YouTube aufgebaut. Dabei erhält Google Ihre IP-Adresse, die Information, welche unserer Seiten Sie aufgerufen haben, sowie gerätebezogene Angaben und kann — sofern Sie in Ihrem Google-Konto angemeldet sind — die Wiedergabe Ihrem Konto zuordnen. Wir nutzen den erweiterten Datenschutzmodus (youtube-nocookie.com), der das Setzen von Cookies bis zum Start der Wiedergabe reduziert.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO bzw. § 25 Abs. 1 TDDDG, die Sie durch den Klick auf „Video laden" erteilen. Alternativ können Sie das Video über den angebotenen Link direkt bei YouTube ansehen. Weitere Informationen: https://policies.google.com/privacy.

Alle verwendeten Schriftarten werden von unserem eigenen Server ausgeliefert. Es besteht keine Verbindung zu Google Fonts oder einem anderen Schriften-CDN, sodass Ihre IP-Adresse dafür nicht an Dritte übertragen wird.

Abgesehen von den in dieser Erklärung genannten Diensten (Google-Anmeldung, Stripe Checkout, Analyse nach Einwilligung, YouTube nach Klick) laden unsere Seiten keine Inhalte von fremden Servern. Werbenetzwerke, Social-Media-Plugins, Chat-Widgets oder Tracking-Pixel setzen wir nicht ein.

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Kontodaten und Inhalte: bis zur Löschung Ihres Kontos. Löschen Sie Ihr Konto oder bitten Sie uns per E-Mail darum, entfernen wir Ihr Konto samt Beats, generierten Sounds, Uploads und Likes; in Sicherungskopien können die Daten für bis zu 30 Tage nachwirken (Abschnitt 2).

Server-Logfiles: höchstens 14 Tage (Abschnitt 3). Anfragen über Formulare und E-Mail: bis zur Klärung, spätestens nach zwölf Monaten (Abschnitt 10). Analyse-Daten: siehe Abschnitt 14. Klassen- und Schülerdaten: siehe Abschnitt 11.

Rechnungs- und Buchungsunterlagen: zehn Jahre nach § 147 AO, § 257 HGB. Diese Daten sind gesetzlich gebunden und werden von einer Kontolöschung nicht erfasst; sie werden ausschließlich für steuerliche und buchhalterische Zwecke aufbewahrt.

Wir geben Ihre Daten nicht zu Werbezwecken weiter und verkaufen sie nicht. Empfänger sind ausschließlich die folgenden Dienstleister, jeweils beschränkt auf die zur Erbringung nötigen Daten:

Hetzner Online GmbH (Deutschland) — Hosting der gesamten Plattform, Auftragsverarbeiter. Stripe Payments Europe Ltd. (Irland) — Zahlungsabwicklung, Auftragsverarbeiter bzw. eigener Verantwortlicher für Betrugsprävention. Resend / Plus Five Five, Inc. (USA, Versand über EU-Infrastruktur) — technischer E-Mail-Versand, Auftragsverarbeiter. ElevenLabs, Inc. (USA) — KI-Audioerzeugung, Auftragsverarbeiter. Replicate, Inc. (USA) — Audioverarbeitung und Loop-Generierung, Auftragsverarbeiter. Google Ireland Limited (Irland) — Anmeldung via Google, Google Analytics (nur mit Einwilligung), YouTube-Videos (nur nach Klick). PostHog, Inc. (EU-Cloud, Frankfurt) — Produktanalyse, nur mit Einwilligung, Auftragsverarbeiter.

Darüber hinaus geben wir Daten weiter, wenn wir dazu gesetzlich verpflichtet sind oder es zur Durchsetzung unserer Rechte erforderlich ist (Art. 6 Abs. 1 lit. c bzw. lit. f DSGVO).

Die Verarbeitung findet grundsätzlich in Deutschland und der EU statt. Bei den in Abschnitt 18 genannten Anbietern mit Sitz in den USA (Resend, ElevenLabs, Replicate) sowie bei Google und Stripe ist ein Zugriff aus den USA nicht ausgeschlossen.

Solche Übermittlungen erfolgen auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission, soweit der Anbieter unter dem EU-U.S. Data Privacy Framework zertifiziert ist (das gilt insbesondere für Google), im Übrigen auf Grundlage der Standarddatenschutzklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO in Verbindung mit ergänzenden Schutzmaßnahmen.

Wir weisen darauf hin, dass in den USA ein mit der EU nicht in jeder Hinsicht vergleichbares Datenschutzniveau besteht und Zugriffe durch dortige Behörden nicht vollständig ausgeschlossen werden können. Eine Kopie der jeweiligen Garantien erhalten Sie auf Anfrage unter contact@make-a-beat.com.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Die automatische Bewertung von Übungsleveln oder Rap-Aufnahmen dient allein Ihrer eigenen Rückmeldung im Lernverlauf; die Analyse Ihrer Nutzung (Abschnitt 14) dient allein der Verbesserung des Angebots.

Die Nutzung öffentlich zugänglicher Seiten ist ohne Angabe personenbezogener Daten möglich; verarbeitet werden dabei nur die technisch anfallenden Zugriffsdaten (Abschnitt 3).

Für ein Konto sind E-Mail-Adresse und Benutzername (bzw. die von Google übermittelten Angaben) erforderlich — ohne diese können wir kein Konto führen. Für einen Kauf sind die Zahlungs- und Rechnungsdaten erforderlich. Alle anderen Angaben, insbesondere Profilbild, die Einstiegsfrage zum Nutzungszweck und die Nutzung von Mikrofon- oder KI-Funktionen, sind freiwillig; ohne sie stehen lediglich die betreffenden Funktionen nicht zur Verfügung.

Sie haben jederzeit das Recht auf Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung unrichtiger Daten (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18) und auf Übertragung der von Ihnen bereitgestellten Daten in einem gängigen, maschinenlesbaren Format (Art. 20).

Zur Ausübung genügt eine Nachricht an contact@make-a-beat.com. Wir antworten unverzüglich, spätestens innerhalb eines Monats. Die Auskunft ist unentgeltlich.

Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Haben Sie uns eine Einwilligung erteilt — etwa für Analyse-Cookies, das Laden eines YouTube-Videos, die Veröffentlichung eines Beats oder die freiwillige Angabe zum Nutzungszweck — können Sie diese jederzeit widerrufen, ohne dass dies die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt. Es genügen die Cookie-Einstellungen am Seitenende, das Zurücknehmen der Veröffentlichung oder eine formlose E-Mail an uns.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage unseres berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Wir verarbeiten die betroffenen Daten dann nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Werden Daten zum Zwecke der Direktwerbung verarbeitet, können Sie jederzeit ohne Angabe von Gründen widersprechen; die Daten werden dann für diese Zwecke nicht mehr verarbeitet. Zu Direktwerbung: Wir betreiben derzeit keine (siehe Abschnitte 8 und 9).

Beschwerderecht (Art. 77 DSGVO): Sie können sich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere bei der Behörde Ihres gewöhnlichen Aufenthaltsorts oder bei der für uns zuständigen Behörde: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.

Die Verbindung zu unseren Seiten ist durchgehend mit TLS verschlüsselt („https://" in der Adresszeile), sodass Inhalte wie Anmeldedaten auf dem Transportweg nicht mitgelesen werden können. Passwörter und Schüler-PINs speichern wir ausschließlich als Hash.

Der Zugriff auf die Datenbank ist auf den Verantwortlichen und die für den Betrieb notwendigen internen Dienste beschränkt; Verwaltungsoberflächen sind nicht öffentlich erreichbar. Die Zugriffsregeln der Datenbank sind so gesetzt, dass Nutzer nur ihre eigenen Daten und Lehrkräfte nur die Daten ihrer eigenen Klassen sehen.

Wir passen diese Erklärung an, wenn wir Funktionen oder eingesetzte Dienste ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung. Bei wesentlichen Änderungen, die eine Einwilligung erfordern, holen wir diese erneut ein.

Stand: August 2026.